Photo Gallery by 10Web: PHP Object Injection
Zusammenfassung
Das WordPress-Plugin Photo Gallery by 10Web bis einschliesslich Version 1.8.46 enthält eine PHP-Object-Injection-Schwachstelle (CWE-502). Ein Angreifer mit einem Contributor-Konto kann manipulierte serialisierte Daten übergeben, wodurch er die Datenverarbeitung der Website beeinflussen und schädliche Aktionen auf dem Server ausführen kann. Für die Ausnutzung ist ein authentifiziertes Contributor-Konto nötig, die Lücke ist ohne Anmeldung nicht ausnutzbar. Websites mit mehreren Autoren-Konten oder offener Selbstregistrierung sind am stärksten gefährdet.
Betroffen
- Photo Gallery by 10Web (WordPress-Plugin) bis einschliesslich 1.8.46
- Erforderliche Berechtigung: Contributor
Behoben in
- Version 1.8.47 oder neuer (Patchstack, WPScan). Die neueste Version wurde nicht bestätigt.
- Eine separate XSS-Lücke ist laut WPScan in Version 1.8.48 behoben.
Umgehung
Unbekannt.
Ausnutzung
- Öffentlicher Exploit: keiner bekannt (VulDB).
- Aktive Ausnutzung: nicht bekannt; nicht als bekannt ausgenutzt gelistet (HOL, Strix).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Patchstack stuft die Lücke als mittlere Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Photo Gallery by 10Web auf die neueste verfügbare Version aktualisieren, mindestens auf 1.8.47.
- Bis zur Aktualisierung Contributor-Konten prüfen und nicht benötigte entfernen.
- Das Plugin auf Websites deaktivieren, die es nicht benötigen.
- WordPress-Websites auf unerwartete Konten prüfen und Protokolle auf verdächtige Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WPScan plugin entry: Photo Gallery wpscan.com
- VulDB CVE-2026-102377 advisory (412326) vuldb.com
- HOL Guard CVE-2026-102377 entry hol.org
- Strix CVE-2026-102377 entry www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.